EU-Hof: grove nalatigheid blokkeert directe terugbetaling bij phishing niet
Een bank mag een gestolen betaling niet vasthouden omdat de klant volgens haar grof nalatig was. Het EU-Hof trekt onder PSD2 een harde volgorde: eerst terugbetalen, daarna eventueel bewijzen dat de klant het verlies uiteindelijk zelf moet dragen.
Het arrest van 15 oktober draait om een Poolse phishingzaak van ongeveer €700. De bank weigerde terugbetaling omdat de klant haar beveiligingsgegevens op een nagemaakte website had ingevuld. Het Hof zegt dat die verdenking van grove nalatigheid de directe terugbetalingsplicht niet opzijzet.
Slachtoffer kwam via verkooplink op valse banksite
De klant verkocht een product via een online platform. Een geïnteresseerde koper stuurde haar een link die zogenaamd nodig was om de verkoop te bevestigen.
De link bracht haar naar een nagebouwde bankwebsite. Daar vulde zij haar gegevens voor online bankieren in.
Met die gegevens maakte een derde ongeveer €700 van haar rekening over. De klant meldde de transactie de volgende dag bij haar bank.
De bank weigerde het bedrag terug te storten. Volgens haar had de klant grof nalatig gehandeld door haar persoonlijke beveiligingsgegevens onvoldoende te beschermen.
Bank moet uiterlijk volgende werkdag terugbetalen
Het EU-Hof maakt nu duidelijk dat die discussie niet vóór de eerste terugbetaling hoort.
Bij een niet-toegestane betaling moet de betaaldienstverlener het bedrag in principe onmiddellijk terugstorten. Dat moet uiterlijk gebeuren aan het einde van de werkdag nadat de bank de transactie heeft vastgesteld of daarover is geïnformeerd.
De klant moet de betaling wel zonder onnodige vertraging melden.
PSD2 gaat daarbij uit van toestemming als uitgangspunt. De ECB legt uit dat expliciete toestemming nodig is voor de uitvoering van een betaling en dat niet-toegestane transacties onder een terugbetalingsregeling vallen.
Grove nalatigheid komt pas daarna aan bod
Het arrest verwijdert grove nalatigheid niet uit PSD2.
De bank kan na de terugbetaling alsnog proberen het verlies op de klant te verhalen. Daarvoor moet zij aantonen dat het verlies voortkwam uit opzettelijk of grof nalatig handelen.
De bewijslast ligt bij de bank.
Dat levert juridisch twee aparte vragen op.
Eerst: was de betaling niet toegestaan en moet het bedrag direct terug?
Daarna: heeft de klant zich zo ernstig verwijtbaar gedragen dat de bank het bedrag uiteindelijk weer van hem of haar kan terugvragen?
Het Hof wil voorkomen dat banken die twee stappen samenvoegen en de klant vanaf het begin zonder geld laten zitten.
Eén uitzondering kan directe betaling uitstellen
Er blijft wel een specifieke uitzondering bestaan.
Heeft een bank redelijke gronden om te vermoeden dat de klant zelf fraude pleegt, dan mag zij de onmiddellijke terugbetaling uitstellen.
De bank moet die verdenking dan melden bij de bevoegde nationale instantie.
Dat is iets anders dan denken dat een slachtoffer onvoorzichtig met zijn inloggegevens is omgegaan.
Volgens het Hof is vermeende grove nalatigheid op zichzelf onvoldoende om de directe betaling tegen te houden.
Belgische banken moeten hun lezing aanpassen
De uitspraak raakt ook België rechtstreeks.
Bankenfederatie Febelfin reageerde op 15 oktober dat er tot nu toe geen eenduidige lezing bestond van deze PSD2-bepaling.
De organisatie zegt dat Belgische banken het arrest zullen analyseren en de uitleg van het EU-Hof zullen volgen.
Daarmee kan het verschil voor een slachtoffer groot zijn.
Een bank kan een geschil over grove nalatigheid niet meer gebruiken om de eerste terugbetaling uit te stellen zolang het om een niet-toegestane betaling gaat en geen verdenking van fraude door de klant zelf speelt.
Wie uiteindelijk het verlies draagt, kan daarna alsnog onderwerp van discussie worden.
Toekomstige betaalregels veranderen dit arrest vandaag niet
Febelfin wijst ook op nieuwe Europese betaalregels die eraan komen.
Volgens de federatie blijven de huidige PSD2-regels gelden totdat het nieuwe Europese kader van kracht wordt. De geplande Payment Services Regulation voorziet volgens Febelfin in een andere procedure, waarbij banken meer tijd krijgen om over terugbetaling te beslissen.
Dat toekomstige stelsel verandert de huidige uitspraak niet.
Voor zaken die onder de bestaande PSD2-regels vallen, is de uitleg van het Hof nu leidend voor nationale rechters die met dezelfde juridische vraag worden geconfronteerd.
Voor cryptofraude ligt de grens bij de betaling zelf
Voor cryptobeleggers is het arrest relevant, maar niet als algemene verzekering tegen scams.
Stel dat een fraudeur via phishing toegang krijgt tot iemands bankrekening en zelf geld naar een exchange overmaakt. Dan kan de vraag ontstaan of die bankbetaling onder PSD2 als niet-toegestaan moet worden behandeld.
Een heel andere situatie ontstaat wanneer iemand zelf bewust een bankoverschrijving goedkeurt en daarna crypto koopt voor een oplichter.
Ook een blockchaintransactie die de eigenaar zelf vanuit zijn wallet ondertekent, valt niet automatisch onder dezelfde terugbetalingsplicht voor banken.
Bankbetaling, aankoop op een exchange en latere cryptotransactie moeten dus apart worden bekeken.
Gestolen crypto wordt niet ineens door de bank vergoed
Het EU-Hof heeft geen algemene regel ingevoerd waarbij banken phishingverliezen altijd moeten vergoeden.
Het arrest gaat specifiek over niet-toegestane betalingstransacties binnen PSD2.
Dat onderscheid voorkomt een te ruime conclusie voor cryptofraude.
Wie door een nepbeleggingsplatform wordt overtuigd om zelf €5.000 over te maken, zit juridisch in een andere positie dan iemand bij wie een fraudeur zonder toestemming €5.000 van de rekening haalt.
De schade kan even groot zijn. De vraag wie de betaling heeft toegestaan, verandert de juridische route.
De volgorde is vanaf nu helder
De uitspraak verschuift vooral de machtsverhouding tijdens het geschil.
Een bank kan niet eerst maanden discussiëren over vermeende grove nalatigheid en de terugbetaling daarvan afhankelijk maken. Bij een niet-toegestane betaling schrijft PSD2 volgens het Hof eerst herstel van het saldo voor.
Daarmee is de zaak nog niet noodzakelijk afgelopen.
De bank mag later aantonen dat de klant met opzet of grove nalatigheid handelde en het geld terugvorderen.
Maar bewijs komt vóór verhaal.
Niet vóór de eerste terugbetaling.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
